Que cambia con PSD3 e o regulamento PSR: fraude de suplantación, reembolsos e transparencia

A evolución do marco regulador de pagamentos na Unión Europea afronta unha nova etapa co paquete normativo que substitúe a PSD2. A diferenza da reforma de 2015, Bruxelas optou desta volta por dividir a lexislación en dúas pezas complementarias: a Directiva de Servizos de Pagamento (PSD3) e o Regulamento de Servizos de Pagamento (PSR, polas súas siglas en inglés). A distinción formal non é un detalle menor; mentres que a directiva esixe transposición nacional para regular a autorización e supervisión de entidades de pagamento, o regulamento aplícase de xeito uniforme e directo en todos os estados membros, pechando diferenzas de interpretación local en materia de operativa e protección do consumidor.

Este cambio responde á necesidade de actualizar as defensas do ecosistema financeiro fronte a tipoloxías de fraude que PSD2 non resolveu completamente, clarificar as responsabilidades entre provedores e comercios, e elevar a transparencia nos custos de procesamento.

A loita contra a fraude de suplantación e a enxeñaría social

Baixo o marco de PSD2, a autenticación reforzada reduciu de forma drástica a fraude por perda ou roubo de credenciais en operacións con tarxeta. Non obstante, os atacantes desprazaron as súas tácticas cara á manipulación psicolóxica do usuario. Na fraude de suplantación (spoofing), o estafador faise pasar por un empregado da entidade bancaria ou unha autoridade pública e convence a vítima para que autorice voluntariamente unha transferencia ou valide un cargo.

Dado que nestes incidentes existe un consentimento expreso e se supera a autenticación en dous factores, a normativa previa adoitaba atribuír a perda ao pagador baixo o criterio de neglixencia grave. O regulamento PSR redefine este equilibrio de responsabilidade:

• Responsabilidade do provedor de servizos de pagamento: Se un usuario é vítima dun engano no que o atacante suplanta a identidade formal da entidade (mediante a manipulación de identificadores telefónicos ou correos oficiais), o banco ou entidade emisora está obrigado a reembolsar o importe íntegro ao cliente, agás que demostre fraude intencionada do propio usuario.
• Verificación obrigatoria de beneficiario: Exténdese ás transferencias de crédito habituais o mecanismo de cotexo previo entre o código IBAN e o nome do titular da conta de destino. Se a entidade non avisa dunha discrepancia entre ambos os datos e a operación resulta fraudulenta, o provedor asume as perdas económicas.
• Colaboración contra o delito: Os operadores de telecomunicacións e plataformas dixitais adquiren maiores obrigas de cooperación para mitigar a suplantación de números e dominios.

Para afondar en como interactúan estas defensas técnicas coas transaccións en liña cotiás, convén revisar o funcionamento da autenticación reforzada (SCA) e 3D Secure.

Novidades en autenticación reforzada e comercio electrónico

O regulamento PSR non busca incrementar a fricción técnica para o usuario lexítimo no checkout, senón perfeccionar as excepcións existentes para optimizar a conversión en vendas dixitais. Entre os axustes previstos destacan:

• Exencións máis precisas: Defínense con maior claridade os supostos nos que a análise de riscos da entidade adquirente ou emisora permite omitir o segundo factor sen asumir riscos desproporcionados de fraude.
• Operacións iniciadas polo beneficiario (MIT): Aclárase o tratamento normativo dos cargos recorrentes ou variables non presenciais, reducindo os bloqueos indebidos de subscricións tras o cobro inicial autenticado.
• Accesibilidade e inclusión: A autenticación xa non pode depender exclusivamente de aplicacións móbiles para teléfonos intelixentes. Os emisores deben habilitar métodos alternativos verificables (como contrasinais dun só uso recibidos por canles seguras ou mecanismos físicos) para evitar a exclusión de usuarios que non dispoñen de biometría ou dispositivos compatibles.

Transparencia de custos e bloqueo de fondos

Outro dos piares do regulamento céntrase nas prácticas de cobro opacas que prexudican tanto o consumidor como as empresas que operan con cobros transfronteirizos ou autorizacións diferidas.

Por un lado, as operacións que implican cambio de divisa esixirán unha desagregación transparente da marxe aplicada sobre o tipo de cambio oficial de referencia do Banco Central Europeo antes de confirmar o pagamento. Por outro lado, en transaccións onde non se coñece o importe final no momento da retención inicial —como gasolineiras, alugueiro de vehículos ou reservas hostaleiras—, limitarase a cantidade e a duración dos bloqueos de saldo. As entidades emisoras deberán liberar os fondos retidos que excedan o importe final cobrado de forma inmediata en canto reciban a confirmación do comercio.

Conclusión e preparación técnica

O avance de PSD3 e o regulamento PSR consolida un ecosistema onde a seguridade xa non se delega de xeito asimétrico no comprador. Para as plataformas de cobro e os negocios dixitais, este marco esixe manter pasarelas con arquitecturas actualizadas, capaces de xestionar alertas de risco avanzadas, conciliar discrepancias de identidade en transferencias instantáneas e procesar mandatos recorrentes sen fricción indebida.

Revisar periodicamente o estado da normativa de pagamentos e adaptar as integracións técnicas permite aos comercios minimizar disputas, reducir contracargos e garantir unha experiencia de compra conforme aos estándares comunitarios.